Une faille de s\u00e9curit\u00e9 critique r\u00e9cemment divulgu\u00e9e ayant un impact sur Crushftp a \u00e9t\u00e9 ajout\u00e9<\/a> par l’Agence am\u00e9ricaine de s\u00e9curit\u00e9 de cybers\u00e9curit\u00e9 et d’infrastructure (CISA) \u00e0 ses vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (Kev<\/a>) Catalogue apr\u00e8s que les rapports ont \u00e9merg\u00e9 d’exploitation active dans la nature.<\/p>\n Le vuln\u00e9rabilit\u00e9<\/a> est un cas de contournement d’authentification qui pourrait permettre \u00e0 un attaquant non authentifi\u00e9 de reprendre des instances sensibles. Il a \u00e9t\u00e9 fix\u00e9<\/a> Dans les versions 10.8.4 et 11.3.1.<\/p>\n “Crushftp contient une vuln\u00e9rabilit\u00e9 de contournement d’authentification dans l’en-t\u00eate d’autorisation HTTP qui permet \u00e0 un attaquant non authentifi\u00e9 distant de s’authentifier pour tout compte d’utilisateur connu ou devignable (par exemple, Crushadmin), conduisant potentiellement \u00e0 un compromis complet”, a d\u00e9clar\u00e9 CISA dans un avis.<\/p>\n La lacune a \u00e9t\u00e9 attribu\u00e9e \u00e0 l’identifiant CVE CVE-2025-31161<\/a> (Score CVSS: 9.8). Il convient de noter que la m\u00eame vuln\u00e9rabilit\u00e9 \u00e9tait auparavant suivie que CVE-2025-2825<\/a>qui a maintenant \u00e9t\u00e9 marqu\u00e9 rejet\u00e9 dans la liste CVE.<\/p>\n Le d\u00e9veloppement intervient apr\u00e8s que le processus de divulgation associ\u00e9 \u00e0 la faille a \u00e9t\u00e9 emp\u00eatr\u00e9 dans la controverse et la confusion, vulncheck – car il s’agit d’une autorit\u00e9 de num\u00e9rotation CVE (CNA) – attribu\u00e9 \u00e0 un identifiant (IE, CVE-2025-2825), tandis que le CVE r\u00e9el (c’est-\u00e0-dire CVE-2025-31161) avait \u00e9t\u00e9 inscrit.<\/p>\n UptPost24, qui est cr\u00e9dit\u00e9 d’avoir divulgu\u00e9 de mani\u00e8re responsable le d\u00e9faut au vendeur, a entr\u00e9<\/a> Pour clarifier qu’il a demand\u00e9 un num\u00e9ro CVE \u00e0 Mitre le 13 mars 2025 et qu’il se coordonnait avec Crushftp pour s’assurer que les correctifs ont \u00e9t\u00e9 d\u00e9ploy\u00e9s dans un d\u00e9lai de divulgation de 90 jours.<\/p>\n Cependant, ce n’est que le 27 mars que Mitre a attribu\u00e9 au d\u00e9faut le CVE CVE-2025-31161, date \u00e0 laquelle Vulncheck avait publi\u00e9 un CVE propre sans contacter “Crushftp ou OutPost24 \u00e0 l’avance pour voir si un processus de divulgation responsable \u00e9tait d\u00e9j\u00e0 en cours”.<\/p>\n La soci\u00e9t\u00e9 su\u00e9doise de cybers\u00e9curit\u00e9 a depuis publi\u00e9 des instructions \u00e9tape par \u00e9tape pour d\u00e9clencher l’exploit sans partager une grande partie des d\u00e9tails techniques –<\/p>\n Un r\u00e9sultat net de ces actions est que la session g\u00e9n\u00e9r\u00e9e au d\u00e9but est authentifi\u00e9e en tant qu’utilisateur choisi, permettant \u00e0 un attaquant d’ex\u00e9cuter toutes les commandes auxquelles l’utilisateur a des droits.<\/p>\n Huntress, qui a recr\u00e9\u00e9 une preuve de concept pour CVE-2025-31161, dit<\/a> Il a observ\u00e9 l’exploitation dans la fen\u00eatre du CVE-2025-31161 le 3 avril 2025 et qu’il a d\u00e9couvert une activit\u00e9 post-exploitation suppl\u00e9mentaire impliquant l’utilisation de l’agent maill\u00e9 et d’autres logiciels malveillants. Il existe des preuves sugg\u00e9rant que le compromis peut avoir eu lieu d\u00e8s le 30 mars.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 avoir vu des efforts d’exploitation ciblant quatre h\u00f4tes distincts de quatre soci\u00e9t\u00e9s diff\u00e9rentes \u00e0 ce jour, ajoutant que trois des personnes touch\u00e9es ont \u00e9t\u00e9 h\u00e9berg\u00e9es par le m\u00eame fournisseur de services g\u00e9r\u00e9s (MSP). Les noms des entreprises touch\u00e9es n’ont pas \u00e9t\u00e9 divulgu\u00e9es, mais elles appartiennent \u00e0 des secteurs de marketing, de vente au d\u00e9tail et de semi-conducteurs. <\/p>\n Les acteurs de la menace se sont av\u00e9r\u00e9s armer l’acc\u00e8s pour installer un logiciel de bureau distant l\u00e9gitime tel que AnyDesk et Meshagent, tout en prenant des mesures pour r\u00e9colter des informations d’identification dans au moins un cas.<\/p>\n Apr\u00e8s avoir d\u00e9ploy\u00e9 Meshagent, les attaquants auraient ajout\u00e9 un utilisateur non-trajet (“Crusser”) au groupe des administrateurs locaux et livr\u00e9 un autre binaire C ++ (“D3d11.dll”), une impl\u00e9mentation de la biblioth\u00e8que open-source Tgbot<\/a>.<\/p>\n “TT est probable que les acteurs de la menace utilisent un bot t\u00e9l\u00e9gramme pour collecter la t\u00e9l\u00e9m\u00e9trie aupr\u00e8s des h\u00f4tes infect\u00e9s”, ont d\u00e9clar\u00e9 les chercheurs de Huntress.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/CISA-ajoute-la-vulnerabilite-Crushftp-au-catalogue-KEV-apres-lexploitation.jpg\")
<\/a><\/center><\/div>\n\n
<\/a><\/div>\n<\/a><\/center><\/div>\n